Grup İlkesi Sonuç İlke Grubu (RSoP) bir kullanıcı veya bilgisayara uygulanan Grup İlkesi ayarlarını raporlar. Grup İlkesi Yönetim Konsolu’ndaki (GPMC) Grup İlkesi Sonuçları, bir hedef bilgisayardan RSoP verilerini ister bunları HTML biçiminde bir raporda sunar. Grup İlkesi Modellemesi aynı tür bilgileri ister, ancak raporlanan veriler bir bilgisayar ve kullanıcı bileşimi için RSoP benzetimi yapan bir hizmetten alınır. Bu benzetim, Windows Server 2003 çalıştıran bir etki alanı denetleyicisinde gerçekleştirilir ve sunum için GPMC çalıştıran bilgisayara döndürülür. Son olarak, Grup İlkesi Sonuçları tercih edilen yöntem olmakla birlikte, RSoP Microsoft Yönetim Konsolu (MMC) bu bilgileri görüntülemek için alternatif bir yöntem sağlar.
Bu özellik kimlere yöneliktir?
Bir Active Directory etki alanı ortamında bulunan Grup İlkesi yöneticileri. Ayrıca, Grup İlkesi uygulaması planlaması veya doğrulaması gereken BT uzmanları da RSoP ile ilgilenebilir.
Windows Server 2003 Service Pack 1’deki hangi işlevler değişiyor?
Windows Güvenlik Duvarı Etkin Olarak RSoP Kullanımı
Ayrıntılı açıklama
Windows XP Service Pack 2’de (SP2), Windows Güvenlik Duvarı varsayılan olarak etkindir. Açık olmayan bağlantı noktalarına karşı gelen istekler—bilgisayardan gelen isteklere verilen yanıtların tersine—Windows Güvenlik Duvarı tarafından engellenir. Windows Server 2003 Service Pack 1’de (SP1), Windows Güvenlik Duvarı varsayılan olarak etkin değildir.
Windows Güvenlik Duvarı’nı kullanmayı seçerseniz, tüm ağda RSoP’de kullanımı üzerindeki etkisini bilmeniz gerekir.
Windows Güvenlik Duvarı hakkında daha fazla bilgi için, bu belgede “Windows Güvenlik Duvarı” konusuna bakın.
Bu değişiklik neden önemli?
Windows Güvenlik Duvarı gibi bir güvenlik duvarının etkinleştirilmesi, ağ tabanlı pek çok saldırıya karşı daha fazla koruma sağlar. Örneğin, Windows Güvenlik Duvarı etkinleştirilmişse, kullanıcıların düzeltme ekleriyle güncel olup olmadıklarından ayrı olarak, yeni MSBlaster saldırısının etkisi önemli ölçüde azalır.
Farklı çalışan nedir?
Windows Server 2003 SP1’de bulunan RSoP’de iki önemli değişiklik vardır.
- Windows Güvenlik Duvarı bir bilgisayara yüklendikten sonra, bu hedef bilgisayardan RSoP verilerine uzaktan erişim artık çalışmaz.
- Windows Güvenlik Duvarı etkinleştirilirse, Grup İlkesi Sonuçları veya Grup İlkesi Modellemesi kullanarak RSoP verilerini almak için GPMC çalıştırıldığında, bu verileri alamaz.
Bu sorunları nasıl çözümlerim?
GPMC SP1 ile Uzaktan RSoP Yönetimi
GPMC’nin ilk sürümü, bir Grup İlkesi Sonuçları veya Modelleme isteğinin sonuçlarını beklerken bir geri arama mekanizması kullanmaktaydı. Yönetim bilgisayarının bu yanıt için “dinlemede” olması gerekir. Windows Güvenlik Duvarı etkinleştirilirse, Windows bu yanıtları engeller. Uygun bağlantı noktalarının açılması bu sorunu çözebilse de, Service Pack 1 ile birlikte güncelleştirilmiş Grup İlkesi Yönetim Konsolu (GPMC) kullanılması geri arama mekanizması kullanımını tümüyle kaldırır. Windows Server 2003 Service Pack 1 ile GPMC yüklenmesi, Grup İlkesi Sonuçları ve Modelleme’nin yönetim bilgisayarında bağlantı noktalarını açmadan çalışmaya devam etmesini sağlayacağından, bunları yüklemenizi öneririz. Windows Server 2003 Service Pack 1 ile GPMC yüklemek için, http://go.microsoft.com/fwlink/?LinkId=23529 adresindeki Microsoft Yükleme Merkezi‘nde “Group Policy Management Console with Service Pack 1 (Service Pack 1 ile Grup İlkesi Yönetim Konsolu)” konusuna bakın.
RSoP’yi uzaktan yönetmek için, Windows Güvenlik Duvarı: Uzaktan yönetim özel durumuna izin verme Grup İlkesi ayarını hedef bilgisayarlarda etkinleştirmeniz gerekir.
RSoP MMC ek bileşeniyle Uzaktan RSoP Yönetimi
RSoP MMC ek bileşenini kullanarak RSoP’yi uzaktan yönetmek için, gelen RSoP isteklerine hizmet verilebildiğinden emin olmak için hedef bilgisayarın uygun ağ bağlantı noktalarında dinleme yapması gerekir. Aşağıdaki ilke ayarları kullanılarak bu, Grup İlkesi üzerinden yapılabilir:
- Unsecapp.exe’ye izin vermek için Windows Güvenlik Duvarı: Program özel durumlarını tanımla Grup İlkesi ayarını etkinleştirin. Unsecapp.exe’nin tam yolunu girdiğinizden emin olun.
- Windows Güvenlik Duvarı: Bağlantı noktası özel durumlarını tanımla Grup İlkesi ayarını etkinleştirin ve 135 numaralı Bağlantı Noktasını açın. Göster‘i tıklatın ve135:TCP:*:Enabled:135 yazın.
Grup İlkesi Sonuçlarına erişim yetkisi verme
Varsayılan olarak, isteği oluşturan kişi hedef bilgisayarda yerel bir yöneticiyse, Grup İlkesi Sonuçları ve RSoP ek bileşeni yalnızca uzaktan kullanılabilir. Windows Server 2003’ten başlayarak, bu hakkın hedef bilgisayarda Yönetici olmayan kullanıcılara verilmesine olanak sağlayan bir temsilci seçme modeli bulunur. Bu, yardım masası çalışanlarının Yönetici olmadan bilgisayarlara erişmeleri gerektiğinde yaygın bir senaryodur.
Windows XP Service Pack 2 ve Windows Server 2003 Service Pack 1’de, DCOM kimlik doğrulaması için güvenlik modeli (RSoP bundan yararlanır) güçlendirilmiştir. RSoP temsilci seçme doğu yapılandırılmış olsa bile, bu güçlendirme yönetici olmayan yerel kullanıcıların hedef bilgisayardan RSoP bilgileri almasını önler. Benzetimli RSoP verileri isteği, Windows Server 2003 çalıştıran ve tanımı gereği Windows XP çalıştırmayan bir etki alanı denetleyicisine karşı yapıldığından, bu durum Grup İlkesi Modelleme’yi etkilemez.
DCOM kimlik doğrulamasıyla ilişkilendirilen kullanıcı ve grupların listesini Grup İlkesi ile yönetebilirsiniz. Sürekli temsili RSoP kullanımına olanak sağlamak için, bu hakkı vermek istediğiniz kullanıcıların DCOM kimlik doğrulama modeliyle erişime de sahip olmaları gerekir. Windows Server 2003 Service Pack 1’deki DCOM’da yapılan güvenlik değişiklikleri hakkında daha fazla bilgi için, bu belgede daha önce geçen “DCOM Güvenlik Geliştirmeleri” konusuna bakın.
Grup İlkesi Sonuçları’na erişim yetkisi vermek için aşağıdaki yordamı kullanın:
Grup İlkesi Sonuçlarına erişim yetkisi vermek için
- Hedef bilgisayarlarda Windows Güvenlik Duvarı:Uzaktan yönetim özel durumuna izin ver Grup İlkesi ayarını etkinleştirin.
- Hedef bilgisayarlarda aşağıdaki DCOM güvenlik ilkesi ayarlarını belirleyin. (Bunlar Bilgisayar Yapılandırması\Windows Ayarları\Güvenlik Ayarları\Yerel İlkeler\Güvenlik Seçenekleri konumunda bulunur.)
DCOM: Güvenlik Tanımlayıcısı Tanımlama Dili (SDDL) sözdiziminde makine erişim sınırlamaları
DCOM: Güvenlik Tanımlayıcısı Tanımlama Dili (SDDL) sözdiziminde makine başlatma sınırlamaları
- Grup İlkesi nesnesini sağ tıklatın ve ardından Özellikler’i tıklatın.
- Güvenliği Düzenle‘yi tıklatın. Erişim İzni açılır.
- Ekle‘yi tıklatın, Kullanıcıları, Bilgisayarları veya Grupları Seç açılır.
- İstediğiniz temsilci hedeflerini girin.
Yerel Grup İlkesi nesnesini uzaktan düzenleme
Windows Güvenlik Duvarı etkinleştirilen bir hedef bilgisayarda bir yerel Grup İlkesi nesnesini uzaktan düzenlemek için, şu ilke ayarını etkinleştirmeniz gerekir: Windows Güvenlik Duvarı: Dosya ve yazıcı paylaşımı özel durumlarına izin ver.
Bu ilke ayarı Bilgisyar Yapılandırması\Yönetim Şablonları\Ağ\Ağ Bağlantıları\Windows Güvenlik Duvarı\[Etki Alanı|Standart] Profil\ konumunda bulunur.